环境：mysql8，navicat
在玩mysql的过程中，经常遇到有很多朋友在云上面玩mysql的时候，说我创建了一个用户为什么不能登录？为什么没有权限？等等各种问题，本文看完之后，这些都不是问题了。
本文的主要内容
- 介绍mysql的权限工作原理
- 查看所有用户
- 创建用户
- 修改密码
- 给用户授权
- 查看用户权限
- 撤销用户权限
- 删除用户
- 权限原则
- 总结
Mysql权限工作原理
mysql如何识别一个用户
mysql为了安全性考虑，采用主机名+用户名来判断一个用户的身份，因为在互联网中很难通过用户名来判断一个用户的身份，但是我们可以通过ip或者主机名判断一台机器，某个用户通过这个机器过来的，我们可以识别为一个用户，所以mysql中采用用户名+主机名来识别用户的身份。当一个用户对mysql发送指令的时候，mysql就是通过用户名和来源（主机）来断定用户的权限
Mysql权限验证分为2个阶段：
阶段1：连接数据库，此时mysql会根据你的用户名及你的来源（ip或者主机名称）判断是否有权限连接
阶段2：对mysql服务器发起请求操作，如create table、select、delete、update、create index等操作，此时mysql会判断你是否有权限操作这些指令
权限生效时间
1，用户及权限信息放在库名为mysql的库中，mysql启动时，这些内容被读进内存并且从此时生效，所以如果通过直接操作这些表来修改用户及权限信息的，需要重启mysql或者执行flush privileges;才可以生效。
2，用户登录之后，mysql会和当前用户之间创建一个连接，此时用户相关的权限信息都保存在这个连接中，存放在内存中，此时如果有其他地方修改了当前用户的权限，这些变更的权限会在下一次登录时才会生效
查看mysql中所有用户
用户信息在mysql.user表中，如下：
select * from user
结果如下
创建用户
create user 用户名[@主机名] [identified by '密码'];
说明：
1.主机名默认值为%，表示这个用户可以从任何主机连接mysql服务器
2.密码可以省略，表示无密码登录
示例1
不指定主机名时，表示这个用户可以从任何主机连接mysql服务器
create user test1 identified by '123456';
用户创建之后可以在mysql库中通过 select user,host from user;查看到。
其他示例
说明：test2的主机为localhost表示本机，此用户只能登陆本机的mysql
create user test2@localhost identified by '123456';
说明：test3可以从任何机器连接到mysql服务器
create user 'test3'@'%' identified by '123456';
说明：test4可以从192.168.11段的机器连接mysql
create user 'test4'@'192.168.3.%' identified by '123456';
链接信息如图
修改密码
通过管理员修改密码
ALTER USER test2@localhost IDENTIFIED BY '123';
ps： mysql8后只能用这种方式，其他的方式不行
给用户授权
创建用户之后，需要给用户授权，才有意义。
语法：
grant privileges ON database.table TO 'username'[@'host'] [with grant option]
grant命令说明：
priveleges (权限列表)，可以是all，表示所有权限，也可以是select、update等权限，多个权限之间用逗号分开。
ON 用来指定权限针对哪些库和表，格式为数据库.表名 ，点号前面用来指定数据库名，点号后面用来指定表名，. 表示所有数据库所有表。
TO 表示将权限赋予某个用户, 格式为username@host，@前面为用户名，@后面接限制的主机，可以是IP、IP段、域名以及%，%表示任何地方。
WITH GRANT OPTION 这个选项表示该用户可以将自己拥有的权限授权给别人。注意：经常有人在创建操作用户的时候不指定WITH GRANT OPTION选项导致后来该用户不能使用GRANT命令创建用户或者给其它用户授权。
备注：可以使用GRANT重复给用户添加权限，权限叠加，比如你先给用户添加一个select权限，然后又给用户添加一个insert权限，那么该用户就同时拥有了select和insert权限
示例：
grant all on *.* to test2@localhost with grant option;
说明：给test2授权可以操作所有库所有权限，相当于dba
grant select on lunwen.* to 'test3'@'%';
说明：test3可以对lunwen库中所有的表执行select
grant select(user,host) on mysql.user to 'test1'@'localhost';
说明：可以限制只能查某一个或者某几个字段
查看用户有哪些权限
show grants for '用户名'[@'主机']
show grants for test3;
查看当前用户的权限
show grants;
撤销用户的权限
语法
revoke all privileges ON database.table FROM '用户名'[@'主机'];
可以先通过show grants命令查询一下用户对于的权限，然后使用revoke命令撤销用户对应的权限，示例：
revoke all privileges on lunwen.* from test3@'%';
删除用户
drop user '用户名'[@‘主机’]，示例:
drop user test3@'%';
授权原则说明
只授予能满足需要的最小权限，防止用户干坏事，比如用户只是需要查询，那就只给select权限就可以了，不要给用户赋予update、insert或者delete权限
创建用户的时候限制用户的登录主机，一般是限制成指定IP或者内网IP段
初始化数据库的时候删除没有密码的用户，安装完数据库的时候会自动创建一些用户，这些用户默认没有密码
为每个用户设置满足密码复杂度的密码
定期清理不需要的用户，回收权限或者删除用户
总结
通过命令的方式操作用户和权限不需要刷新，下次登录自动生效
通过操作mysql库中表的方式修改、用户信息，需要调用flush privileges;刷新一下，下次登录自动生效
mysql识别用户身份的方式是：用户名+主机
本文中讲到的一些指令中带主机的，主机都可以省略，默认值为%，表示所有机器
mysql中用户和权限的信息在库名为mysql的库中